LLMJackingとは何か？高額な不正請求のメカニズム
米Google Threat Intelligence GroupとMandiantは、2026年11月2日に公開したレポートで、企業が利用する大規模言語モデル（LLM）への不正アクセスを「LLMJacking」と命名し、その実態を詳細に解説しました（Google Cloud Blog）。これは、脅威アクターがクラウド上のLLMリソースを乗っ取り、不正に利用することで高額なクラウド料金を発生させる新たな攻撃手法です。
LLMJackingは、数時間で数百万ドル規模の不正なクラウド請求を引き起こす可能性があります。
従来のクリプトジャッキングが徐々にリソースを消費するのに対し、LLMJackingは短時間でAPIリクエストを急増させ、1日で10万ドル以上の不正請求が発生した事例も報告されています。いくつかの組織では、アクセスが遮断されるまでに累計100万ドルに達するケースもあったとのことです（The Register）。この攻撃は、北米、南米、アジア太平洋地域の金融サービス、小売、テクノロジー、運輸など多岐にわたる業界の組織に影響を与えています。
LLMJackingのエコシステムと攻撃手法
Google Threat Intelligence Group (GTIG) は、LLMJackingの背後にある犯罪エコシステムを分析し、「LLM Mixer」と呼ばれる専門的な役割分担が生まれていることを指摘しています。LLM Mixerは、不正に取得したLLMアクセスを代理・集約し、アンダーグラウンドの加入者に転売する違法なルーティングゲートウェイとして機能します。
脅威アクターは、LLMのフロントエンドインターフェースを回避し、バックエンドのモデルリソースを直接標的にします。初期アクセスベクトルとして、主に以下の2つが挙げられます。
- 公開されたLLMエンドポイントの悪用: 設定ミスにより公開されたOllamaなどのLLMエンドポイントを特定し、不正にモデルを登録する手法です。これにより、組織は予期せぬホスティングコストの増加に直面します。
- クラウド認証情報の窃取: IAM認証情報、サービスアカウントキー、GitHub Personal Access Token (PAT)、アクティブなセッショントークンなど、露出または盗まれたクラウドIDトークンが主要な初期アクセス経路となっています。これにより、脅威アクターはターゲット組織のインフラに足がかりを築きます。
| 攻撃ベクトル | 具体例 | 影響 |
|---|---|---|
| 公開エンドポイント | Ollama等の公開APIにモデル登録 | ホスティングコスト増加、リソース消費 |
| 認証情報窃取 | IAMキー、PAT、セッショントークン | クラウドインフラへのフルアクセス、LLMリソース悪用 |
例えば、2026年中頃にUNC6993という脅威アクターが、設定ミスのあるサービスアカウントキーを通じてクラウドインスタンスを侵害し、そのアクセスを利用してLLM APIへのさらなるアクセス権限を付与した事例も確認されています。
エンジニア目線で見ると：コスト増大とセキュリティ強化は喫緊の課題
今回のGoogle Cloud Blogのレポートは、LLMの利用が拡大する中で、新たなセキュリティ脅威がいかに現実的であるかを明確に示しています。特に、クラウドでLLMを運用している開発者にとっては、コスト管理とセキュリティ対策が直接的な課題となるでしょう。不正利用による1日10万ドル、累計100万ドルという請求額は、スタートアップから大企業まで、どの組織にとっても無視できない数字です。
個人的には、サービスアカウントキーやAPIキーの管理の重要性を改めて感じます。これらの認証情報は、コード中にハードコードされたり、バージョン管理システムに誤ってコミットされたりするリスクが常にあります。CI/CDパイプラインや開発環境における認証情報の扱いを、今一度レビューし直す必要があるのではないでしょうか。
また、公開されているLLMエンドポイントの設定ミスは、特に開発段階で起こりがちだと感じます。検証目的で一時的に公開したものが、そのまま放置されるケースもゼロではないでしょう。
現在のクラウドインフラでは、各リソースに対するアクセスログが詳細に記録されるため、不正なAPIリクエストの急増は検知しやすいはずです。しかし、それが「本当に不正なものなのか」を判断するには、正常な利用状況との比較や、異常検知システムの導入が不可欠だと考えます。Claude CodeにLLMのアクセスログ監視スクリプトを書いてもらって、異常なパターンを自動で検知する仕組みを個人プロダクトに組み込んでみたいと感じています。
